终端检测与响应（endpoint detection and response，EDR）是一类安全软件，用来监测笔记本电脑、台式机和服务器上的活动，标记可疑行为，并提供在该设备上调查和遏制威胁的工具。“终端”指任何连接企业网络或云服务的设备，包括员工电脑、办公室电脑、文件服务器和云虚拟机。
传统杀毒软件主要根据已知恶意软件的特征检查文件。EDR 多了一层：它记录设备上的活动，例如程序启动、脚本运行、网络连接和系统设置变更，即使没有已知的恶意文件，也会找出疑似攻击的模式。
EDR 如何工作
大多数 EDR 工具遵循相同的基本流程：
- 采集：每台设备安装一个轻量代理程序，记录与安全相关的事件，并发送到中央管理控制台（通常在云端）。
- 检测：把这些活动与已知攻击手法和异常行为对比，例如办公文档启动命令行工具，或某个进程在短时间内加密大量文件。
- 告警：可疑活动以告警形式呈现，写明发生了什么、在哪台设备、哪个用户账户下发生。
- 响应：管理员或自动规则可以把设备从网络中隔离、终止进程、隔离文件，或收集证据用于调查。
事件发生后，这些记录可以显示攻击者如何进入、接触过哪些设备，为执行事件响应计划提供依据。
EDR 与杀毒软件的区别
两者的边界已逐渐模糊，总体来看：
- 杀毒软件侧重阻止已知恶意文件运行，并进行清除。
- EDR侧重可见性和响应：保留设备活动记录、检测可疑行为，并支持远程处置设备。
不少“终端防护”产品两者兼有。比较时应问清楚记录哪些内容、数据保留多久和支持哪些响应操作。
相关概念：MDR 与 XDR
- MDR（托管检测与响应）：由外部安全团队监控你的 EDR 告警并代为响应，通常包括非工作时间，适合没有内部安全人员的企业。
- XDR（扩展检测与响应）：把同样的思路扩展到终端之外，在一个控制台里整合邮件、身份、云和网络工具的信号。
为什么对中小企业重要
勒索软件等攻击往往从一台员工电脑开始，例如点开网络钓鱼邮件或密码被盗之后。攻击者也可能利用系统自带的正常工具而非明显的恶意软件，基于特征的杀毒软件未必能发现。EDR 让你更有机会及早察觉，并在问题蔓延到共享盘或服务器之前隔离设备。
EDR 只是其中一层防护，应与补丁管理、多重身份验证、经过测试的备份，以及零信任的访问管理配合使用。
选择 EDR 前要确认什么
- 覆盖范围：支持哪些操作系统，包括 Windows、macOS、Linux 服务器，以及需要时的移动设备。
- 谁来处理告警：只有有人查看并跟进告警，EDR 才有价值。要确定由内部 IT 人员、IT 服务商还是 MDR 服务负责，以及夜间和周末怎么处理。
- 响应操作：能否隔离设备、阻止进程和远程调查，以及能否自动执行。
- 现有许可：部分商业版办公或安全套件已经包含 EDR 功能，采购新工具前先确认已付费的内容。
- 数据与隐私：活动数据存放在哪里、保留多久。应告知员工工作设备会被监测；如有特定隐私义务，请咨询专业意见。
- 性能与部署：先在少量设备上试用，并规划新老员工设备的加入和移除。
常见问题
中小企业需要 EDR 吗？
取决于风险和系统环境。如果员工处理客户数据、支付或远程访问公司系统，就值得考虑。人数很少的团队，用托管终端防护服务可能比自己运维更实际。
EDR 能取代杀毒软件吗？
很多 EDR 产品已包含杀毒功能，不一定还要单独安装杀毒软件。应向供应商确认，避免两套工具重叠冲突。
EDR 能挡住所有攻击吗？
不能。它提升检测和响应能力，但可能漏掉新手法，也不会修复弱密码或未打补丁的系统。应视为多层防护的一部分。
EDR 能保护我们的网站和云服务吗？
只覆盖安装了代理程序的设备或服务器。托管网站和 SaaS 工具通常需要其他措施，例如账户安全、日志记录和网站监测。
如需协助检查公司设备的防护情况，或建立适合团队的监测和响应安排，可查看我们的网络安全及合规服务。如需有约定响应时间的持续维护，可参考托管支持及 SLA 服务。